Nowe wytyczne FIDO Alliance: klucze ostatecznie zastąpią hasła. Oto jak to skonfigurować.

Apple uważa, że ​​249 moich haseł wymaga uwagi. Część z nich została ponownie wykorzystana. Niektórzy z nich byli zamieszani w naruszenia bezpieczeństwa danych. Niektóre to po prostu złe hasła.

Dlatego przez ostatnie 11 lat grupa o nazwie FIDO Alliance pracowała nad wyeliminowaniem haseł — lub przynajmniej zmniejszeniem naszej od nich zależności. FIDO, skrót od Fast Identity Online, chce, aby logowanie do Twoich kont było nie tylko bezpieczniejsze, ale także, jak sama nazwa wskazuje, szybsze i łatwiejsze. A ponieważ do jego członków zaliczają się Amazon, Apple, Google, Meta i inni, którzy kształtują nasze doświadczenia online, FIDO Alliance jest w stanie zapewnić, że także to się stanie.

Niezależnie od tego, czy zdajesz sobie z tego sprawę, czy nie, wysiłki FIDO już zmieniły sposób, w jaki logujesz się do wszystkiego w Internecie. Być może zauważyłeś na przykład kilka lat temu, że wiele witryn zaczęło tego wymagać Coś, co nazywa się uwierzytelnianiem wieloskładnikowymco dodaje dodatkowy etap do procesu logowania, np. wysłanie kodu na Twój telefon w wiadomości tekstowej, aby witryna mogła zweryfikować Twoją tożsamość. To właśnie robi FIDO.

Jednak po latach utrudniania logowania i zwiększania jego bezpieczeństwa, sojusz Niedawno rozpocząłem duży nacisk Aby platformy i ludzie przyjęli technologię, która może całkowicie zabić hasła: klucze.

Klucze dostępu to nowy typ danych uwierzytelniających, którego można używać do logowania się do kont internetowych bez użycia hasła. Ten nowy standard uwierzytelniania sprawia, że ​​hasła stają się nieistotne, wprowadzając nowy, prostszy i bezpieczniejszy przepływ pracy. Tam Logo i wszystko.

Możesz myśleć o kluczach jako o dwóch zaszyfrowanych plikach, jednym po Twojej stronie, a drugim po stronie witryny internetowej, które otwierają dostęp do Twojego konta, gdy jeden pasuje do drugiego, podobnie jak klucz i zamek. Kluczy dostępu nie można kopiować, sfałszować ani wyłudzać informacji.

Po skonfigurowaniu hasła do witryny internetowej możesz zalogować się w ten sam sposób, w jaki odblokowujesz telefon: za pomocą twarzy, odcisku palca lub kodu PIN. Proces jest bardzo szybki i znajomy, a być może używasz już kluczy w witrynach takich jak Google i Amazon. Wkrótce będziesz mógł używać tylko kluczy dostępu. Niech Twoje hasła spoczywają w spokoju.

Nie zawsze tak było. W początkach informatyki, kiedy komputery zajmowały całe pomieszczenia i wymagały obsługi wielu osób, hasła nie były potrzebne. Kiedy jednak ludzie zaczęli współużytkować te systemy, hasła stały się centralnym elementem prywatnego przetwarzania danych.

We wczesnych latach sześćdziesiątych badacze z MIT zbudowali superkomputer nazwany Time-Sharing Compatible System – pionierską maszynę, która doprowadziła do rozwoju takich rozwiązań, jak poczta elektroniczna i udostępnianie plików. Umożliwiło to wielu osobom jednoczesną pracę nad własnymi projektami, dlatego Fernando Corbato, lider projektu, wymyślił sposób, w jaki ludzie mogą przechowywać prywatne pliki w systemie. Umożliwiło badaczom tworzenie kont i uzyskiwanie do nich dostępu przy użyciu unikalnych ciągów znaków i tak narodziło się hasło.

„Niestety, stało się to koszmarem” – powiedział Corbato Powiedział „Wall Street Journal”. W 2014 r.

Okazuje się, że hasła wcale nie są zbyt prywatne. Badacze z MIT szybko odkryli sposoby kradzieży haseł swoich kolegów Robij im psikusy. Kilkadziesiąt lat później ludzie używają setek haseł do ochrony setek swoich kont online — a czasem tego samego hasła do wszystkiego. To absolutnie koszmar. Hasła łatwo zapomnieć, a ich zresetowanie może być trudne. Jeśli haker ukradnie hasło, którego używasz, ponieważ trudno jest wyśledzić ich kombinację, może zalogować się na wszystkie Twoje konta, ukraść Twoje pieniądze i ogólnie siać spustoszenie.

Hakerzy mogą również kraść hasła, czasem miliony na raz, w celu kradzieży tożsamości ludzi. Ataki typu phishing, polegające na nakłanianiu kogoś do podania danych logowania, są szczególnie przebiegłym sposobem uzyskania dostępu do dużych ilości wrażliwych danych. To właśnie te naruszenia danych doprowadziły do ​​powstania FIDO w 2013 r., kiedy konsorcjum firm technologicznych, banków i rządów połączyło siły, aby opracować lepszy sposób zabezpieczania kont.

Prace rozpoczęły się od dodania warstw zabezpieczeń do podstawowego hasła. Uwierzytelnianie wieloskładnikowe stało się głównym nurtem około dziesięć lat temu. Poprawiło to bezpieczeństwo, ale było też prawdziwym utrapieniem.

Od tego czasu widziałem bardziej skomplikowane procedury logowania. Wymagania dotyczące hasła To stało się bardziej skomplikowane (Pomyśl o dziesiątkach liter, wielkich i małych, znakach specjalnych, dziełach.) Nawet po wprowadzeniu niezwykle długiego i złożonego hasła możesz otrzymać powiadomienie na innym urządzeniu, aby zweryfikować Twoją tożsamość na laptopie. Możesz otrzymać magiczny link wysłany na Twój e-mail. Może być dołączony kod QR. Wszystkie te metody są również podatne na próby phishingu.

„Aby rozwiązać problem, trzeba naprawdę dotrzeć do jego źródła” – powiedział mi dyrektor generalny FIDO, Andrew Shekiar. „Rozwiązując kwestię hasła, w rzeczywistości rozwiązujesz problem naruszenia danych”.

Klucze obiecują rozwiązać wiele problemów związanych z hasłami. Dzięki FIDO i W3C, konsorcjum zarządzającemu standardami dla sieci WWW, istnieje obecnie uzgodniony przepływ pracy dotyczący kluczy dostępu, który całkowicie zastępuje hasła.

Z punktu widzenia użytkownika proces wprowadzania hasła jest bardzo łatwy. Po prostu zaloguj się w staromodny sposób, podając hasło, kod lub cokolwiek innego, a następnie witryna lub platforma zapyta Cię, czy chcesz skonfigurować hasło. Jeśli to zrobisz, zostaną utworzone te dwa pliki – zamek i klucz, jeśli chcesz – tworzące hasło. Wyświetli się także monit o odblokowanie telefonu za pomocą twarzy, odcisku palca, kodu PIN lub wzoru machnięcia, w zależności od preferencji. Hasło zostanie następnie powiązane z tym urządzeniem i zapisane w chmurze lub w menedżerze haseł. Gdy następnym razem się zalogujesz, ta strona sprawdzi, czy masz właściwy klucz do swojego zamka. Jeśli tak, odblokuj urządzenie, a wrócisz na miejsce. Może to zająć kilka sekund.

Utworzenie klucza niekoniecznie pozbędzie się hasła na zawsze. Wiele witryn przechowuje Twoje hasło jako kopię zapasową, jeśli w jakiś sposób zgubisz hasło. Poza tym haseł używamy już od dłuższego czasu i byłoby dziwnie, gdyby nagle zniknęły.

„Ludzie nie chcą mieć poczucia, że ​​tracimy ich hasło” – powiedział Shekiar. „To przerażająca myśl”.

Nie dla mnie. Osobiście nie mogłem się doczekać przejścia z haseł na klucze, gdy dowiedziałem się o szerszym wdrożeniu. Dlatego w ciągu ostatniego tygodnia skonfigurowałem tyle kluczy, ile tylko mogłem. Ale nie skonfigurowałem 249 nowych kluczy do obsługi wszystkich problematycznych haseł. Moja liczba kluczy jest bliższa 12.

Proces konfiguracji różni się nieco w zależności od witryny, ale po ustawieniu hasła logowanie przebiega w zasadzie jednym dotknięciem lub jednym spojrzeniem. W większości przypadków nie mogę nawet znaleźć miejsca, w którym można wpisać hasło. Witryna po prostu skanuje mój odcisk palca lub twarz i gotowe.

Głównym wyzwaniem jest obecnie to, że niewiele firm korzysta z kluczy dostępu, co wyjaśnia niedawne wysiłki FIDO mające na celu zachęcenie większej liczby firm do zarejestrowania się. Możesz na przykład skonfigurować klucze dostępu do kont Google i Amazon, ale nie do kont na Facebooku i Instagramie. Jednak WhatsApp używa kluczy dostępu. To wszystko jest teraz trochę zagmatwane. (Oto pełna lista Spośród głównych witryn internetowych obsługujących klucze dostępu.)

Innym problemem jest to, że chociaż ludzie pamiętają hasła w głowie, klucze w rzeczywistości wymagają menedżerów kluczy. Ponieważ większość nowych urządzeń ma wbudowane menedżery haseł, nie jest to w zasadzie nic wielkiego: menedżery haseł są także menedżerami kluczy dostępu.

Google i Apple zaczęły przechodzić na klucze kilka lat temu. Jeśli używasz Android Lub iPhone'aMożesz użyć wbudowanych menedżerów haseł na tych urządzeniach, aby zapisać wszystkie swoje klucze. GoogleChrome Ma także zarządcę ruchu drogowego, tak jak on Microsoft Windows. Menedżerowie haseł, np 1Hasło I Międzymoże teraz także obsługiwać klucze dostępu. Jeśli chcesz przełączyć się z iPhone'a na urządzenie z Androidem lub zmienić menedżerów haseł, będziesz mieć problemy z migracją wszystkich tych kluczy, ale FIDO Pracuję nad znalezieniem rozwiązania.

Klucze mają na celu zabijanie haseł, ale będzie to powolna śmierć. Chociaż hasła nadal istnieją, stopniowo staną się bezużyteczne, ponieważ coraz więcej witryn i platform opiera się na kluczach dostępu. W pewnym sensie hasła staną się zombie w Internecie, czające się i być może czasami powodujące problemy.

„Hasło nigdy całkowicie nie umrze” – powiedział Jacob Hoffman Andrews, starszy technolog w Electronic Frontier Foundation. „Zawsze będą urządzenia i zakątki Internetu, w których przechowywane będą hasła”.

Wersja tej historii została również opublikowana w biuletynie Vox Technology. Zarejestruj się tutaj Aby nie przegapić kolejnego!